Атакуващите са компрометирали 469 пакета в хранилището AUR

Забелязано е масово компрометиране на пакети в репозитория AUR (Arch User Repository), използван в Arch Linux за разпространение на приложения от трети страни. Атакуващите са получили контрол над 469 пакета и успели да внедрят злонамерен код за кражба на пароли и ключове за достъп от системите на потребителите. Сред другото, злонамереният код е интегриран в пакет ALVR, разпространяван през AUR, популярен сред любителите на компютърни игри.

Атакуващите поели поддръжката на пакети, които имат статус „orphaned“ и са останали без поддръжка. Като име било посочено името на последния поддръжник, но с друг имейл, след което било добавено едно комит и публикувано обновление. Комитът добавял „npm“ в списъка с зависимости PKGBUILD и в блок post_install на скрипта install.sh била поставена команда за инсталация на няколко NPM пакета. Между инсталираните NPM пакети присъствали един или повече популярни легитимни пакета и пакет atomic-lockfile, съдържащ скрито злонамерено софтуер. Добавянето на инсталацията на NPM пакети било извършвано във всички компрометирани проекти, дори ако не използвали JavaScript и NPM.

След активация злонамереното софтуер се укоренявало в системата като service на systemd с произволно име и при изпълнение се камуфлирало като поток от ядрото. При стартиране с права root сервизът се създавал на системно ниво (\etc\systemd\system) и допълнително активирал работа на ниво ядро rootkit, а при стартиране с права на потребител — се изпълнявал от името на потребителя (~\.config\systemd\user). Злонамереното софтуер извършвало сканиране и изпращане навън сървър ключове и данни за достъп до VPN, Docker, Podman и SSH, както и конфиденциални данни, извлечени от браузъра, история на команди в shell, ключове от криптовалутни портфейли, токени за достъп до Slack, Microsoft Teams, Discord, GitHub, NPM и Vault.

Източник: opennet.ru